Valstybinė duomenų apsaugos inspekcija paskelbė rekomendaciją „Asmens duomenų saugumo užtikrinimo aspektai elektroninės prekybos svetainėse“. Joje apžvelgiamos pagrindinės šiuolaikinėms elektroninėms parduotuvėms kylančios grėsmės ir aptariamos priemonės, padedančios apsaugoti klientų asmens duomenis.
Advokatų profesinės bendrijos „NEWTON LAW“ advokatė Asta Kederytė pažymi, kad naujoji rekomendacija nekeičia Bendrajame duomenų apsaugos reglamente įtvirtintų reikalavimų ir savaime nenustato naujų pareigų. Vis dėlto ji yra svarbi elektroninę prekybą vykdančiam verslui, nes paaiškina, į kokias šiuolaikines grėsmes organizacijos turėtų atsižvelgti ir kokių veiksmų iš jų gali būti tikimasi užtikrinant klientų duomenų saugumą.
Bendrajame duomenų apsaugos reglamente nustatyta, kad asmens duomenis tvarkančios organizacijos privalo taikyti tokias technines ir organizacines saugumo priemones, kurios atitiktų konkrečias jų veikloje kylančias rizikas. Parenkant šias priemones turi būti atsižvelgiama į tvarkomų duomenų pobūdį ir apimtį, naudojamas technologijas, duomenų tvarkymo tikslus, galimų incidentų tikimybę ir jų poveikį žmonėms.
Advokatė paaiškina, kad dėl šios priežasties visoms elektroninėms parduotuvėms negali būti taikomas vienodas saugumo priemonių sąrašas. Nedidelė elektroninė parduotuvė, kurioje tvarkomi tik klientų kontaktiniai ir pristatymo duomenys, gali susidurti su kitokiomis rizikomis nei didelė prekybos platforma, turinti didelę klientų duomenų bazę, daugybę išorinių tiekėjų ir t. t., todėl kiekvienas verslas turi įvertinti savo veiklos mastą, renkamų duomenų pobūdį, naudojamas sistemas, išorės paslaugų teikėjus ir realias grėsmes.
Advokatė pažymi, kad viena svarbiausių Valstybinės duomenų apsaugos inspekcijos rekomendacijoje aptariamų tendencijų yra sparčiai plintančios dirbtiniu intelektu paremtos atakos ir sukčiavimo būdai. Dirbtinio intelekto priemonės gali būti naudojamos netikroms, tačiau įtikinamai atrodančioms tapatybėms kurti, apgaulingiems elektroniniams laiškams rengti ar robotams, elektroninėje parduotuvėje imituojantiems tikrų klientų elgesį, diegti.
Tokias atakas atpažinti tampa vis sunkiau, todėl tradicinių saugumo priemonių gali nebepakakti, todėl rekomenduojama įvertinti poreikį naudoti šiuolaikinius sukčiavimo prevencijos įrankius. Pavyzdžiui, elgsenos analizės sistemą, kuri gali vertinti, kaip greitai pildomos formos, kokiu įrenginiu jungiamasi, ar prisijungimo vieta ir laikas atitinka ankstesnį naudotojo elgesį, o pastebėjus neįprastą prisijungimą ar kitą rizikingą veiksmą, būtų paprašoma papildomai patvirtinti tapatybę.
Vis dėlto advokatė Asta Kederytė atkreipia dėmesį, kad saugumo priemonių diegimas taip pat turi atitikti duomenų apsaugos reikalavimus. Sukčiavimo prevencijos sistemos dažnai renka papildomą informaciją apie naudotojo įrenginį, prisijungimo aplinkybes ar elgesį interneto svetainėje. Todėl elektroninės parduotuvės valdytojas turi aiškiai žinoti, kokie duomenys renkami, kokiu tikslu jie naudojami, kiek laiko saugomi ir kas gali juos pasiekti.
Kita išskiriama rizika susijusi su tuo, kad elektroninė prekyba šiandien vyksta ne vien interneto svetainėje. Klientai prekes ir paslaugas įsigyja naudodamiesi mobiliosiomis programėlėmis, socialiniais tinklais ir kitomis platformomis. Kuo daugiau skirtingų prekybos kanalų naudoja verslas, tuo daugiau atsiranda galimų saugumo spragų. Net ir gerai apsaugota interneto svetainė gali tapti pažeidžiama, jeigu su ja susieta mobilioji programėlė, ar kita informacinė sistema nėra tinkamai apsaugota. Todėl neužtenka apsaugoti tik klientams matomą elektroninės parduotuvės dalį – turi būti tikrinamos ir visos su ja susietos sistemos bei duomenų perdavimo kanalai.
Ne mažiau reikšminga rizika kyla dėl papildomo naudojimosi kitais paslaugų teikėjais. Šiuolaikinė elektroninė parduotuvė dažniausiai naudojasi daugybe kitų įmonių teikiamų paslaugų. Kiekviena tokia paslauga sukuria papildomą duomenų perdavimo grandinę bei galimą saugumo pažeidimo vietą. Piktavaliai gali mėginti patekti į elektroninės parduotuvės sistemas ne tiesiogiai, o pasinaudodami silpniau apsaugota programine įranga ar sistema. Advokatė Asta Kederytė pabrėžia, kad asmens duomenų perdavimas kitam paslaugų teikėjui nepanaikina elektroninės parduotuvės duomenų valdytojo atsakomybės už klientų asmens duomenų apsaugą. Organizacija turi atsakingai pasirinkti tiekėjus, įvertinti jų taikomas saugumo priemones, sudaryti tinkamas duomenų tvarkymo sutartis ir prižiūrėti, kaip susitarimų laikomasi teikiant paslaugas.
Advokatė išskiria dėmesį ir debesijos paslaugoms. Pasak advokatės, verslas neretai mano, kad perkėlus duomenis ir sistemas į debesiją visa atsakomybė už jų saugumą pereina debesijos paslaugų teikėjui. Tačiau Valstybinės duomenų apsaugos inspekcijos aptariamas paskirstytos atsakomybės modelis rodo, kad tiekėjas ir jo paslaugomis besinaudojanti organizacija atsako už skirtingas sritis. Todėl renkantis debesijos paslaugą svarbu įvertinti ne tik jos kainą, bet ir funkcijas. Organizacija turi aiškiai suprasti, kokias saugumo priemones užtikrina pats tiekėjas, o kokias privalo tinkamai sukontroliuoti ir nuolat prižiūrėti savo jėgomis pati organizacija.
Apibendrindama advokatų profesinės bendrijos „NEWTON LAW“ advokatė Asta Kederytė pažymi, kad naujoji Valstybinės duomenų apsaugos inspekcijos rekomendacija elektroninėms parduotuvėms siunčia aiškią žinutę – asmens duomenų saugumas negali būti laikomas vienkartiniu veiksmu, užbaigiamu sukūrus interneto svetainę arba pasirašius sutartį su kitu paslaugų teikėju. Elektroninės prekybos grėsmės nuolat keičiasi, todėl organizacijos turi reguliariai peržiūrėti savo sistemas, vertinti naujas rizikas, atnaujinti naudojamas technologijas, tikrinti išorės tiekėjus bei mokyti darbuotojus Nors aptartas Valstybinės duomenų apsaugos inspekcijos dokumentas yra rekomendacinio pobūdžio, jame aptartos rizikos ir saugumo priemonės gali būti reikšmingos vertinant, ar elektroninė parduotuvė tinkamai įvykdė Bendrajame duomenų apsaugos reglamente nustatytą pareigą apsaugoti klientų asmens duomenis. Todėl verslui rekomenduojama nelaukti realaus pažeidimo, o jau dabar įvertinti, ar taikomos saugumo priemonės atitinka dabartines elektroninės prekybos grėsmes.
Advokatė Asta Kederytė
Tel. Nr. +370 647 89067
